TrueCrypt + Norton Ghost - Partitionen weg

[McDaTob]

Hallo.
Hoffe mir kann jemand helfen meine Daten zu retten.
Zunächst die Konfiguration:
Festplatte 1:
Partition 1: [NTFS] Systempartition (mit TrueCrypt verschlüsselt)
Partition 2: [NTFS] Daten (unverschlüsselt)
Partition 3: [NTFS] Downloads (unverschlüsselt)
Partition 4: [NTFS] verschlüsselte Daten (mit TrueCrypt als Volume verschlüsselt)
TrueCrypt BootCD zwar vorhanden, hab aber das Passwort geändert und danach nicht neu gebrannt

Also nun zum Problem: Ich wollte gestern mit Norton Ghost ein Image drauf spielen (WindowsXP). Dabei hab ich in der Eile vergessen, dass ich die Systempartition mit TrueCrypt verschlüsselt hatte.Der Rechner startete also neu, um das Image aufzuspielen, es kam jedoch sofort die Meldung, dass kein Betriebssystem gefunden wurde.Die Ghost-Wiederherstellung versucht sicherlich auf den Programmordner zuzugreifen unter C:\Programme, was aber wegen Verschlüsselung nicht möglich war. Konnte Windows anschließend auch nicht mehr booten. Wollte dann mit Knoppix die Daten auf externe HDD sichern und die komplette Platte neu formatieren, allerdings hat Knoppix keine Partitionen gemountet.Hab mir dann ne andere HDD besorgt, auf dieser WindowsXP installiert und wollte dann von meiner Platte die Daten sichern. Und dann kam der Schock: Windows zeigt eine einzige Partition an, die die gesamte HDD ausfüllt und diese soll angeblich in NTFS formatiert sein.
Ich könnte jetzt also theoretisch munter darauf losschreiben.
Ich hab nicht so sehr viel Ahnung, aber ich vermute, dass Norton Ghost die Partitionstabelle überschrieben hat und ich deshalb die alten Partitionen nicht mehr finde.
Die Systempartition ist mir völlig wurscht, da war nichts Wichtiges drauf, aber die anderen beiden - besonders die verschlüsselte Partition - waren sehr wichtig.
Hab ich ne Möglichkeit (vielleicht mit nem Recovery Tool) Die Partitionen wiederzufinden und dann hoffentlich mit TrueCrypt wieder zu entschlüsseln?

 

[$LeEP]

Probier mal Ontrack Easy Recovery Professional, damit kannst du selbst Daten von formatierten Partitionen noch wiederherstellen. Mit diesem Programm hab ich selbst sehr gute Erfahrungen gemacht, wenns damit nicht geht, dann kannstes glaub ich knicken...

Das Problem meiner Meinung nach sind halt die TrueCrypt Partitionen, hättest du nur Container erstellt und nicht die ganze Partition verschlüsselt, wär die Chance bei überschriebenem MBR wohl größer, da es nun drauf ankommt, ob Tools wie Easy Recovery diese Truecrypt Partition erkennen.

Also viel Glück!

 

[Fiona]

Ich sollte wissen mit welcher Version (ob 6 oder früher 5.1?) und ob die Festplatte oder die Partition verschlüsselt wurde.
Ich setze auchmal grobe Infos;
https://www.computerbase.de/forum/threads/hdd-unzugeordnet-und-truecrypt.518929/

Um deine Partitionsgrößen festzulegen, solltest du vorweg eine Diagnose mit Testdisk machen.
Wenn die mittlere wiederhergestellt ist, hast du den Speicherplatz der ersten Partition und vielleicht wenn die dritte den restlichen belegt hatte auch.
Infos folgen dann.


Mache mal eine Diagnose nach dieser Anleitung;

Lade dir mal Testdisk Version 6.11 beta für Windows.
Link dazu gibt es hier;
https://www.computerbase.de/downloads/systemtools/festplatten/testdisk/
Starte Testdisk bestätige bei dem Log-Datei-Screen mit Enter, wähle deine betroffene Festplatte aus und bestätige mit Enter, bestätige bei Partition Table Typ Intel, bestätige bei Analyse mit Enter und setze mir einen Screenshot.
Bestätige auch bei Quick Search mit Enter (wenn nötig wegen Vista-check mit y) und setze mir auch den Screen.
Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Wenn keine Partition mit Daten gefunden wurde;
Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] Deeper [Search] [Write] und gehe mit dem Pfeil auf [Deeper Search] (tiefere Suche) und lasse es laufen.
Setze mir auch einen Screenshot.
Die betroffene Partition sollte wenn du den Screen machst markiert sein.

Markiere mal die betroffenen Partitionen und drücke p auf der Tastatur ob deine Daten angezeigt werden oder eine Fehlermeldung.
Zurück kommst du mit q drücken.

Viele Grüße

Fiona

 

[McDaTob]

Danke für die Antworten!
Ich muss mich leider korrigieren:
Ich hatte noch eine zusätzliche Partition (siehe erster Beitrag).
TestDisk hat beim Deeper Search leider nur diese Partition gefunden.
Kann auch alle Dateien davon öffnen mit p.
Diese ist leider total unwichtig. Die anderen Partitionen wurden nicht gefunden.
Die verschlüsselte (wichtige) Partition müsste aber direkt nach dieser kommen.
Ich habe leider eine ältere Version von TrueCrypt benutzt (ich glaub 5.1).

Quick Search:

Deeper Search:

Hoffe damit kann jemand etwas anfangen.
Wie bereits gesagt, interessieren mich hauptsächlich die verschlüsselte Partition 4 und die unverschlüsselte Partition 2.

Vielen Dank.

Liebe Grüße

 

[Fiona]

Sieht so aus das deine Festplattengeometrie nicht stimmt!
Korrigiere es mal und schaue ob die Partitionen dann gefunden werden.
TrueCrypt-Partitionen werden normal nicht angezeigt, da der Bootsektor durch Verschlüsselung unbekannt ist.
Genauso der Eintrag in der Partitionstabelle.
Im Fall folgen separat Infos, da der Speicherplatz vielleicht nach dem Gemetrie-Problem wieder zugeordnet werden kann.

Starte Testdisk, bestätige bei Log-Datei erstellen mit Enter, wähle deine Festplatte und bestätige mit Enter.
Bestätige auch bei Partition Table Typ Intel mit Enter.
Gehe jetzt auf das Menü Geometry.
Gehe dort auf Heads.
Gib dort 255 ein und bestätige mit Enter.
Gehe dann auf Sectors, gebe dort 63 ein und bestätige mit Enter.
Lasse SectorSize und den Rest in Ruhe.
Bestätige dann mit OK zum verlassen von Geometry.
Du darfst dann Testdisk nicht beenden da du dann die Einstellungen verlierst.
Gehe dann mit dem Pfeil auf Analyse bestätige mit Enter und setze mir einen Screenshot.
Bestätige bei Proceed und setze mir auch einen Screenshot.

Du kannst da auch mal die Partitionen wenn die gefunden werden markieren, die Taste p drücken und schauen ob du deine Daten siehst.
Zurück kommst du mit q drücken.

Wenn keine Partition gefunden wurde;

Bestätige weiter bis du zum Menü kommst wo unten steht [Quit] [Search] [Write] und gehe mit dem Pfeil auf [Search] (tiefere Suche) und lasse es laufen.
Setze mir einen Screenshot
Du kannst da auch mal die Partitionen wenn die gefunden werden markieren, die Taste p drücken und schauen ob du deine Daten siehst.
Zurück kommst du mit q drücken.

Viele Grüße

Fiona

 

[McDaTob]

Hallo.
Danke für deine Antwort.
Ich glaube, das hat funktioniert, was du mir geschrieben hast!
Es werden nun alle nicht verschlüsselten Partitionen angezeigt und ich kann auch die Daten öffnen. Hab auch zum Testen einige kopiert und die sind alle noch in Ordnung.
Allerdings wird die verschlüsselte Partition nicht angezeigt.
Es sind übrigens noch 2 Partitionen mehr aufgetaucht, von denen ich gar nichts mehr wusste. Diese sind von Programmen, die ich mal installiert hatte, daher auch unwichtig.
Ich habe über Nacht mal einen Scan mit R-Studio gemacht. Weiß allerdings nicht, wie ich dort die verschlüsselte Partition ausfindig machen könnte.
Hier die Screenshots:

R-Studio:

Vor QuickSearch:

Nach QuickSearch:

Vor DeeperSearch:

Nach DeeperSearch:

Dass die unverschlüsselten Daten noch da sind ist schon riesen Erfolg und ich bin dir echt dankbar für deine Hilfe!!!
Wenn ich die verschlüsselten noch wiederbekomme bin ich der glücklichste Mensch auf der Welt.

Viele Grüße

 

[Fiona]

Stelle mal deinwe zwei Partitionen Daten und Dowloads wiederher.
Geht folgendermaßen;
Ich gehe von diesem Screen aus;
http://img185.imageshack.us/img185/8283/screennachquicksearchnl6.jpg
Markiere die Partition Boot und setze die mit dem Links oder Rechtspfeil auf D.
Siehst du ganz links.
Mache dasselbe mit der Partition Siemens, wenn diese nicht mehr vorhanden war?
Muß sichergestellt sein, das es sich bei der Siemens-Partition nicht um eine Recovery-Partition handelt und versteckt war.
Teile es mal mit.
Geht wohl darum, vielleicht eine identische unformatierte Partition auf den verschlüsselten Speicherplatz zu erstellen, damit du versuchen kannst das Laufwerk zu mounten.
Aber die Größe muß exakt stimmen.
Beim erstellen einer unformatieren Partition wird ein Laufwerksbuchstabe vergeben.
Erste dann kannst du das Laufwerk in TrueCrypt auswählen und mounten.
Bitte denke daran nicht zu formatieren, da du dann dein verschlüsseltes Laufwerk überschreiben würdest.

Hast du ein Backup vom Volume Header deiner verschlüsselten Partitionen erstellt?
Ansonsten würde nur der Weg bleiben das Laufwerk wie im Post hier zu versuchen wiederherzustellen.
https://www.computerbase.de/forum/threads/hdd-unzugeordnet-und-truecrypt.518929/#post-5289251
Deine Aussagen, sind bisher vage.
Unter TrueCrypt 6 gibt es bessere Wege, aber ich denke du weißt es nicht genau?
Bei TrueCrypt 5 kannst du es nur über den Weg wie im Link versucht werden.
Die Parameter zu deiner Platte und Partition müssen auf deine Situation angepasst werden.
Ansonsten heißt es, nochmal im TrueCrypt-Forum nachfragen.

Viele Grüße

Fiona

 

[McDaTob]

Hallo.
Hab mich wirklich undeutlich ausgedrückt.
Also:
Meine Platte hatte vor dem Crash 6 Partitionen.
Die erste war die primäre Partition, darauf war Windows (NTFS, verschlüsselt, nicht lesbar).
Danach kam eine weitere Partition, diese brauchte ich mal für einen Bootmanager ([Boot], FAT, unverschlüsselt, wieder lesbar).
Anschließend kam eine Extended Partition, darin waren 4 logische Partitionen enthalten:
1. [Daten] (NTFS, unverschlüsselt, wieder lesbar)
2. [Downloads] (NTFS, unverschlüsselt, wieder lesbar)
3. [Siemens] (FAT, unverschlüsselt, wieder lesbar)
4. [Crypt] (NTFS, verschlüsselt, nicht lesbar)

So, ich hab gestern alle Partitionen wieder geschrieben.
Diese tauchten dann auch im Explorer wieder auf.
An die Stelle der verschlüsselten Partition hab ich eine neue erstellt, nicht formatiert.
Ich habe die Partition mit TrueCrypt v5.? erstellt.
Habe dann mit TrueCrypt 6 versucht die neu erstellte Partition zu mounten -> ohne Erfolg.
Auch über die Recovery-Funktion von TrueCrypt kein Erfolg.
Habe leider keine Sicherung des Headers gemacht.

Ich habe die Hoffnung fast aufgegeben.
Bin natürlich froh, dass ich die unverschlüsselten Daten wieder hab!
Falls jemand weiß, was ich noch versuchen könnte, wäre ich dankbar.
@Fiona: Vielen Dank für deine Hilfe!